坊間不乏零信任的定義。你會(huì)聽(tīng)到諸如原則、支柱、基本原理和宗旨等術(shù)語(yǔ)。雖然沒(méi)有單一的零信任定義，但對(duì)一個(gè)概念有一個(gè)共同的理解是有幫助的。為此，美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所(NIST)發(fā)布了NIST SP 800-207零信任架構(gòu)，其中描述了零信任的以下七個(gè)原則。

[[414406]]

1. 所有數(shù)據(jù)源和計(jì)算服務(wù)都被視為資源。

只將終端用戶設(shè)備或服務(wù)器視為資源的時(shí)代已經(jīng)過(guò)去了。今天的網(wǎng)絡(luò)由一系列動(dòng)態(tài)的設(shè)備組成，從傳統(tǒng)的項(xiàng)目，如服務(wù)器和端點(diǎn)，到更動(dòng)態(tài)的云計(jì)算服務(wù)，如功能即服務(wù)(FaaS)，它們可能以特定的權(quán)限來(lái)執(zhí)行你環(huán)境中的其他資源。

對(duì)于你環(huán)境中的所有數(shù)據(jù)和計(jì)算資源，你必須確保你有基本的，并在必要時(shí)有高級(jí)的認(rèn)證控制，以及最低許可的訪問(wèn)控制。在隨后的宗旨中，所有這些資源都在某種程度上進(jìn)行溝通，并可以提供信號(hào)背景，以幫助推動(dòng)零信任中的架構(gòu)組件做出的決定，這將在宗旨7中討論。

2. 所有通信都是安全的，無(wú)論網(wǎng)絡(luò)位置如何。

在零信任環(huán)境中，零信任網(wǎng)絡(luò)訪問(wèn)(ZTNA)的概念得以實(shí)現(xiàn)。這與傳統(tǒng)的遠(yuǎn)程訪問(wèn)模式形成了鮮明的對(duì)比，在傳統(tǒng)的遠(yuǎn)程訪問(wèn)模式中，用戶可以對(duì)VPN進(jìn)行認(rèn)證，然后在網(wǎng)絡(luò)內(nèi)/跨網(wǎng)絡(luò)不受限制地訪問(wèn)。

在ZTNA環(huán)境中，訪問(wèn)策略是默認(rèn)到拒絕。明確的訪問(wèn)必須被授予特定的資源。此外，在ZTNA環(huán)境中操作的用戶甚至不會(huì)意識(shí)到環(huán)境中的應(yīng)用程序和服務(wù)，如果沒(méi)有這些明確的訪問(wèn)授權(quán)存在。你很難轉(zhuǎn)到你不知道存在的東西。

今天，地理上分散的勞動(dòng)力，由于COVID大流行而進(jìn)一步加劇，使得宗旨2對(duì)組織來(lái)說(shuō)更加關(guān)鍵，現(xiàn)在有很大一部分的勞動(dòng)力從許多地方和設(shè)備上訪問(wèn)內(nèi)部資源。

3. 對(duì)單個(gè)企業(yè)資源的訪問(wèn)是以會(huì)話為基礎(chǔ)的。

"就像季節(jié)一樣，人也在變化"。這句話對(duì)于數(shù)字身份來(lái)說(shuō)更是如此。在分布式計(jì)算環(huán)境、云原生架構(gòu)和不斷暴露在一連串威脅下的分布式勞動(dòng)力的動(dòng)態(tài)性質(zhì)中，信任的概念不應(yīng)超出單個(gè)會(huì)話的范圍。

這意味著，僅僅因?yàn)槟阍谝郧暗臅?huì)話中信任一個(gè)設(shè)備或身份，并不意味著你在以后的會(huì)話中本質(zhì)上信任他們。每個(gè)會(huì)話都應(yīng)涉及相同的嚴(yán)格性，以確定設(shè)備和身份對(duì)你的環(huán)境構(gòu)成的威脅。與用戶相關(guān)的異常行為，或設(shè)備安全態(tài)勢(shì)的變化，都是可能發(fā)生的一些變化，應(yīng)在每個(gè)會(huì)話中使用，以決定訪問(wèn)和程度。

4. 對(duì)資源的訪問(wèn)是由動(dòng)態(tài)策略決定的--包括客戶身份、應(yīng)用/服務(wù)和請(qǐng)求資產(chǎn)的可觀察狀態(tài)，并可能包括其他行為和環(huán)境屬性。

現(xiàn)代計(jì)算環(huán)境是復(fù)雜的，并且遠(yuǎn)遠(yuǎn)超出了一個(gè)組織的傳統(tǒng)邊界。應(yīng)對(duì)這一現(xiàn)實(shí)的方法之一是利用所謂的 "信號(hào)"，在你的環(huán)境中做出訪問(wèn)控制決策。

一個(gè)可視化的好方法是通過(guò)微軟的條件訪問(wèn)圖。訪問(wèn)和授權(quán)決策應(yīng)該考慮到信號(hào)。這些信號(hào)可以是諸如用戶和位置、設(shè)備及其相關(guān)的安全狀況、實(shí)時(shí)風(fēng)險(xiǎn)和應(yīng)用環(huán)境。這些信號(hào)應(yīng)該支持決策過(guò)程，如授予完全訪問(wèn)、有限訪問(wèn)或完全不訪問(wèn)。你也可以根據(jù)這些信號(hào)采取額外的措施，要求更高水平的認(rèn)證保證，如多因素認(rèn)證(MFA)，并根據(jù)這些信號(hào)限制授予的訪問(wèn)級(jí)別。

5. 企業(yè)監(jiān)控和測(cè)量所有擁有的和相關(guān)資產(chǎn)的完整性和安全態(tài)勢(shì)。

在零信任模式中，沒(méi)有任何設(shè)備或資產(chǎn)是固有的信任。每個(gè)資源請(qǐng)求都應(yīng)觸發(fā)安全態(tài)勢(shì)評(píng)估。這包括持續(xù)監(jiān)控能夠訪問(wèn)環(huán)境的企業(yè)資產(chǎn)的狀態(tài)，無(wú)論這些資產(chǎn)是由企業(yè)還是其他實(shí)體擁有，如果它們能夠訪問(wèn)內(nèi)部資源。這包括根據(jù)從持續(xù)監(jiān)測(cè)和報(bào)告中獲得的洞察力，快速應(yīng)用補(bǔ)丁和漏洞修復(fù)?；氐角懊骊P(guān)于每個(gè)會(huì)話訪問(wèn)的例子，可以檢查設(shè)備狀態(tài)，以確保它沒(méi)有關(guān)鍵的漏洞存在或缺乏重要的安全修復(fù)和補(bǔ)丁。

從這種對(duì)所擁有的和相關(guān)的資產(chǎn)的完整性和安全狀況的動(dòng)態(tài)洞察和監(jiān)測(cè)中，可以圍繞授予的訪問(wèn)水平做出政策和決定，如果有的話。

6. 所有的資源認(rèn)證和授權(quán)都是動(dòng)態(tài)的，并在允許訪問(wèn)之前嚴(yán)格執(zhí)行。

正如前面的例子所討論的，授予訪問(wèn)權(quán)和信任的概念是以一種動(dòng)態(tài)和持續(xù)的方式發(fā)生的。這意味著它是一個(gè)掃描設(shè)備和資產(chǎn)的連續(xù)循環(huán)，使用信號(hào)以獲得更多的洞察力，并在作出信任決定之前對(duì)其進(jìn)行評(píng)估。這是一個(gè)持續(xù)的動(dòng)態(tài)過(guò)程，一旦用戶創(chuàng)建了一個(gè)具有相關(guān)資源權(quán)限的賬戶，就不會(huì)停止。這是一個(gè)反復(fù)的過(guò)程，每個(gè)政策執(zhí)行的決定都有無(wú)數(shù)的因素在起作用。

7. 企業(yè)盡可能多地收集有關(guān)資產(chǎn)、網(wǎng)絡(luò)基礎(chǔ)設(shè)施和通信現(xiàn)狀的信息，并利用這些信息來(lái)改善其安全狀況。

技術(shù)環(huán)境受到無(wú)數(shù)的威脅，企業(yè)必須保持持續(xù)的監(jiān)控能力，以確保他們了解其環(huán)境中發(fā)生的事情。零信任架構(gòu)由三個(gè)核心部分組成：

• 政策引擎(PE)
• 政策管理員(PA)
• 政策執(zhí)行點(diǎn)(PEP)

從資產(chǎn)、網(wǎng)絡(luò)基礎(chǔ)設(shè)施和通信的當(dāng)前狀態(tài)收集的信息被這些核心架構(gòu)組件用來(lái)加強(qiáng)決策，并確保避免有關(guān)訪問(wèn)的風(fēng)險(xiǎn)決策批準(zhǔn)。

零信任是一個(gè)旅程

許多組織犯的一個(gè)常見(jiàn)錯(cuò)誤是把零信任當(dāng)作一個(gè)目的地。如果他們只是購(gòu)買了正確的工具，他們將在其環(huán)境中實(shí)施零信任。這不是它的工作方式。當(dāng)然，工具可以幫助實(shí)現(xiàn)零信任的各個(gè)方面，使你的組織更接近于零信任架構(gòu)，但它們不是萬(wàn)能的。與IT和網(wǎng)絡(luò)安全領(lǐng)域的大多數(shù)事情一樣，它由人、流程和技術(shù)組成。

正如美國(guó)國(guó)家安全局(NSA)的出版物《擁抱零信任安全模式》中所述，主要的建議包括從成熟度的角度來(lái)對(duì)待零信任。正如NSA所描述的那樣，這包括初始準(zhǔn)備和基本、中級(jí)和高級(jí)的成熟階段。

說(shuō)到這里，第一步是準(zhǔn)備。找出你的位置，你的差距在哪里，你的架構(gòu)、實(shí)踐和流程如何與上述零信任原則保持一致，然后制定一個(gè)計(jì)劃來(lái)解決這些問(wèn)題，最重要的是，接受這需要時(shí)間。